Ransomwarová skupina Warlock, spojovaná s Čínou, zaútočila na vodárenskou společnost, poskytovatele telekomunikačních služeb, regionální vládní orgán a univerzitu. Počáteční přístup získala zneužitím zranitelností v Microsoft SharePointu. Během posledních dvou měsíců se podle všeho zaměřovala na portugalsky a španělsky mluvící země v Evropě, Africe a Latinské Americe.
Skupina se objevila v červnu 2025 a o měsíc později se proslavila zneužitím řetězce zranitelností nultého dne v SharePointu známého jako ToolShell (CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 a CVE-2025-53771). V srpnu téhož roku Microsoft zaznamenal, že exploity ToolShell využívají i státem podporované skupiny Linen Typhoon a Violet Typhoon a ransomwarový aktér, kterého Microsoft sleduje jako Storm-2603.
Vypnutí ochrany na 40 počítačích za dvě hodiny
Společnost Symantec označuje stejného aktéra jako Longlegs a připisuje mu vývoj ransomwaru Warlock. Při jednom průniku, který začal 22. července, útočník nasadil nástroj, který vyřadil bezpečnostní software na nejméně 40 počítačích přibližně během dvou hodin. Poté spustil ransomware Warlock na nejméně 33 strojích.
Po získání přístupu, obvykle přes zranitelnosti v lokálně provozovaném SharePointu, útočník nasadí webshell navržený tak, aby fungoval napříč více verzemi SharePointu. Podle výzkumníků ze Symantecu a Carbon Blacku byl v některých útocích nástroj pro vyřazení antivirů a EDR nasazen technikou BYOVD (přines si vlastní zranitelný ovladač). Útočník k tomu použil podepsaný ovladač K7RKScan se zranitelností CVE-2025-1055. Dva dny po prvním průniku 22. července útočník prováděl průzkum sítě a smazal soubory, které vypadaly jako pomocné artefakty pro přípravu útoku.
Tunel přes VS Code
Datová část ransomwaru byla připravena ve sdílené složce SYSVOL domény, která uchovává veřejné soubory a replikuje se na všechny řadiče domény. Podle výzkumníků jde o známý způsob, jak spustit škodlivý kód přes přihlašovací skript nebo objekt skupinových zásad v celé síti najednou, a ne postupně stroj po stroji. Během útoku byl spustitelný soubor Visual Studio Code Insiders nainstalován jako služba, aby se útočník mohl k napadeným strojům vzdáleně připojovat přes vestavěnou tunelovací funkci VS Code. Na jednom ze systémů výzkumníci našli také open-source nástroj pro penetrační testy NetExec, který útočníkovi pomáhal s průzkumem Active Directory, zkoušením hesel na mnoha účtech a vzdáleným spouštěním příkazů.
Závěrečná fáze proběhla 31. července po nasazení nástroje na vyřazení ochrany. Ransomware se podle výzkumníků objevoval „téměř okamžitě poté, co byla na každém počítači vypnuta ochrana“. Výzkumníci varují, že ToolShell i další chyby v SharePointu zůstávají i více než rok po prvních útocích skupiny Warlock funkční cestou k počátečnímu průniku. Jejich zpráva obsahuje i sadu indikátorů kompromitace pro soubory a infrastrukturu použité při útocích.
Zdroj: bleepingcomputer.com
Zdroj: IT SECURITY NETWORK NEWS
